网络安全对核工业至关重要,需要采取严格的保护措施来防范网络攻击。可能的威胁包括 PMMD 攻击。由于许多核设施的运行都是在空气屏蔽区内进行的,因此设施与终端之间的数据传输必须使用外围和可移动介质(如USB 和软盘)。
核电行业受到严格的监管要求。美国 NRC(核管理委员会)规定了全面的安全要求,即 CFR(《联邦法规汇编》)。CFR 第 10 篇第 73.54 节概述了保护 "数字计算机和通信系统及网络 "的网络安全要求。
核设施网络安全框架和法规
随着对数字和通信系统安全的严格要求,核能研究所(NEI)发布了两份文件 NEI 08-09 和 NEI 18-08,与《美国联邦法规汇编》(CFR)第 10 篇第 73.54 节保持一致。这两份文件为保护核电设施奠定了坚实的基础,强调了基于风险的网络安全方法。
美国联邦法典》第 73.54 节
联邦法规汇编》第 10 篇第 73.54 节通过建立核材料和核设施安全框架,在核设施实施严格的安全措施。其规定要求运营商实施强大的实物保护系统,确保系统的完整性和冗余性,并采用严格的访问协议。该法规的综合方法侧重于物理保护,同时应对恶意外围介质(包括USB 驱动器、DVD 和软盘等传统设备)带来的威胁。
NEI 08-09
NEI 08-09 为核电反应堆网络安全计划的建立提供了一个全面的框架。它概述了识别关键数字资产 (CDA)、防范内部和外部威胁以及降低包括便携式和mobile 媒体在内的各系统脆弱性的方法。
NEI 18-08
NEI 18-08 根据不断发展的网络安全标准制定了安全指南。核设施通常包括多个空气屏蔽区,在这些安全区之间移动数据需要使用便携式和mobile 媒体。由于需要使用这些媒体,因此需要有扫描站或扫描控制台(通常称为信息亭)。
NEI 018-08 指南的重点是解决 PMMD 攻击的攻击途径,并指导降低此类攻击的风险。指导方针还包括风险管理和保护较新数字系统(包括物联网设备)的现代方法。
制定核设施网络安全计划
制定符合监管要求的有效网络安全计划应包括以下考虑因素。
风险识别
识别风险是制定稳健的网络安全计划(包括设施的 OT(操作技术)和 IT(信息技术)系统)的第一步。常见的潜在风险包括内部和外部威胁、可能的硬件和软件漏洞,以及外围设备和可移动媒体带来的风险。
纵深防御
NEI 08-09 指导方针建议在网络安全计划中实施多层防御,如限制设备使用、网络分段以隔离关键系统以及实时监控和扫描恶意软件。
门禁控制
访问控制包括确保只有经过授权的人员才能在安全区域内使用便携式介质,同时确保未经授权的设备无法访问安全网络。
执行严格的外围Media使用政策
除了部署扫描亭之外,USB 的使用必须仅限于经批准的设备。这些设备还应受到端点保护软件的监控。
设备隔离
隔离设备既适用于那些疑似被入侵的设备,也适用于未经授权的设备。用于系统维护的外围介质必须在使用前后进行消毒,以防止交叉感染。除物理隔离外,使用NAC (网络访问控制)限制未经批准的设备进入,也是另一层防御措施。
确保Cloud设备和Mobile 应用的安全
即使有严格的隔离和访问要求,在现代也无法避免使用云连接设备。云连接设备的物理存在位置规则以及零信任等访问控制解决方案至关重要。
PMMD 攻击的途径
在空气封闭的环境中,信息亭成为网络攻击的主要目标。解决 PMMD 攻击的途径对于规划和实施强有力的网络安全计划至关重要。
信息Kiosk的物理访问
物理访问控制是确保扫描站安全的一个重要方面。如果攻击者访问了自助服务终端的底层硬件或未受保护的端口,那么自助服务终端的软件就会遭到破坏。
有线网络连接
即使部署了空气屏蔽,信息亭的维护操作也往往依赖于有线连接。这种连接为恶意软件注入等攻击打开了方便之门。
无线网络连接
有线连接应严格作为连接信息亭的首选方式。与有线网络连接不同,无线连接更容易被威胁行为者和未经授权的用户拦截和破坏。
可移动Media 连接
要确保信息亭的端口仅用于扫描便携式媒体,就必须进行持续监控和严格的访问控制。这有助于防止对手获得对可移动媒体端口的物理访问权限,从而保护信息亭的软件及其扫描引擎免遭篡改。
Supply Chain 准入
除了前面提到的在部署信息亭后引入风险的攻击途径外,攻击还可能发生在生产或分发过程中。在部署之前破坏信息亭的软件会带来更大的风险,因为这样会增加检测难度。
确保核电站免受 PMMD 攻击
除了考虑制定网络安全计划之外,实施这些具体措施还有助于确保核设施免受 PMMD 攻击。
OT 环境中的设备控制策略
在 OT 环境中对便携式媒体和mobile 设备实施严格的控制策略,以限制未经授权的设备,并使用MetaDefender Endpoint™ 等端点保护解决方案来帮助监控设备的使用。此外,组织应执行要求对所有便携式媒体进行加密的政策,以在设备丢失或被盗时保护数据完整性。
授权、监控和控制可移动设备
在访问关键网络之前,连接到网络的外围设备和可移动设备应进行身份验证。这样的程序可确保只有经过充分扫描和安全保护的设备才能与设施的系统进行交互。MetaDefender Kiosk™ 等解决方案拥有MetaDefender Media Firewall™技术和多种适用于不同地点的外形,已证明其在确保核设施文件传输操作安全方面的有效性。
监测和审计
持续监控设备活动和全面记录数据传输有助于识别异常活动或未经授权的访问尝试。此外,维护设备连接日志也有助于安全审计。
强制扫描和恶意软件检测
对进入设施的所有便携式和mobile 媒体进行强制扫描,对于在允许访问网络前检查所有设备是否存在恶意软件至关重要。除固定扫描工具外,MetaDefender Drive™ 等便携式裸机扫描工具还能检测隐藏的恶意软件(如 rootkit 感染),有助于加强网络安全计划。
安全培训和认识
大多数现代安全系统仍然容易出现人为错误。企业应就使用便携式媒体和mobile 设备的相关风险为员工提供定期更新的培训。NEI 指导方针主张对员工进行最佳实践教育,如避免使用未知USB 设备,确保个人设备不与关键系统连接。
应急计划
即使采取了最严格的安全措施,网络攻击仍有可能发生。一个强大的 PMMD 事件响应计划是必要的,其中包括隔离受感染设备、通知相关团队和恢复受损系统的步骤。
结论
许多核设施的运行都是在空气封闭区内进行的,因此必须使用外围设备和可移动媒体在设施和终端之间传输数据。这增加了网络攻击(尤其是 PMMD 攻击)的风险,并要求严格遵守合规准则。MetaDefender Kiosk 及其MetaDefender Media Firewall 和MetaDefender Endpoint™ 等外围设备和可移动媒体保护解决方案,加上MetaDefender Drive 及其检测隐藏恶意软件的能力,可提供综合网络安全解决方案,实现高达 99.2% 的恶意软件检测率。
欲了解更多有关OPSWAT关键基础设施安全解决方案和降低 PMMD 攻击风险的信息,请与我们的专家联系。